全生命周期数据安全治理体系及典型产品

数据学堂 2022-11-08

“数据安全治理” 这个词大家并不陌生，但是如何做好数据安全治理，很多用户却不清楚从何着手，对数据的合规利用也毫无头绪。本文结合《数据安全法》来讲解一下，如何才能做好全生命周期数据安全治理，数据安全治理的步骤有哪些及典型产品介绍。

数据安全治理的本质
数据因流动产生价值。企业内部的数据会在整个企业内部、甚至更大的范围内共享，如果想要保障数据被安全使用，那么就不能任由个人或部门各行其是地处置他们的数据，数据活动需要在一个企业的规范框架约束下进行。
如果数据是敏感或关键性的，那么使用、传输或存储这类的数据，会需要特别的处置，这种情况下也不能任由个人或部门各行其是，而是需要在一个企业的安全策略框架约束下进行。
企业数据安全治理的本质是建立一组企业的“数据法规”，由这些法规来规范企业所有人员的所有数据活动。
数据安全治理的定义

Gartner提出，数据安全治理不仅仅是一套用工具组合的产品级解决方案，而是从决策层到技术层，从管理制度到工具支撑，自上而下贯穿整个组织架构的完整链条。

组织内的各个层级之间需要对数据安全治理的目标和宗旨取得共识，确保采取合理和适当的措施，以最有效的方式保护信息资源。

数据安全治理的步骤

Gartner建议，对数据进行数据安全治理，建立以人为中心，自上而下的数据安全治理体系。数据安全治理分为以下几个步骤：

1、数据的分级分类

从风险角度看，首先，公司有哪些数据是最重要的数据，把这些最重要的数据区分出来，对数据进行分级分类，然后，根据谁会使用这些数据来去做什么，形成数据安全的策略。

很多企业单位在开始去做数据安全分级分类的时候，面对海量数据不知如何入手。建议从业务入手，自上而下的进行数据梳理。要做一个分级分类的指南，需要定位到数据最后落地的点，以及数据以什么形态存在。按照普遍性原则来看，可以把数据定义成1~5级的这种模式。

2、制定数据安全策略

通过第一步的数据梳理，可以了解到此类业务数据分布在何处，谁会去使用这些数据去做什么样的事情，谁可能去接触到这些数据？此类数据泄露或者丢失会带来什么样的后果。

经过综合指数加权计算，可以得到某种数据泄露的风险值，根据风险值来对数据分级，比如级别定成公开、机密、绝密，不同级别数据需要采取什么样的策略，监控、阻止、告警、加密等。

根据数据的分级分类，结合业务，决定采用何种数据安全技术作为支撑。通常采取的技术有6类，分别是：DLP、UEBA、CASB、IAM、加解密、DCAP。

数据安全治理涉及到的产品
1、DLP
DLP通过对数据的内容的识别，对数据的存储、使用和传输对它进行发现和保护。比如有一个word文档，在 Word文档里面有一张图片，图片里面可能是通过屏幕截图的方式去截下来一个 Excel表，这个表里面的内容是姓名、身份证号和信用卡号，DLP能通过内容识别发现，知道这个Word文档里面包含了多少个身份证号。
2、UEBA
UEBA技术是对人的行为进行分析的技术，它的核心点是人。所有的数据泄露都是通过人的行为完成的。我们要去抓住“坏人”，就是通过UEBA对人的行为进行分析。
采用行为分析的方式，可以在一大堆的“好人”里面发现有谁干了坏事。“坏人”总是会干一些异常的事情，UEBA通过行为的采集，就知道谁在整个数据使用的过程中，谁做了哪些动作，或者操作了哪些数据。
通过大量的数据的获取，基于网络的、协议的行为，比如你上网都访问了什么样的网站，外发了那些敏感数据、在电脑上做了哪些操作等等，把所有的操作行为，放在基于人工智能算法的系统里进行分析，看究竟谁做了什么样的坏事。这种分析会把每个人自己的当前的行为和过去的行为进行比较，和你周围同事的行为进行比较。
3、CASB
CASB主要是用来保护云端的数据，现在越来越多的金融企业开始使用SaaS服务模式。CASB主要是为了解决影子IT的问题，保护企业使用SaaS服务时潜在的数据安全风险。

CASB对于云安全的重要性，就像防火墙对于网络安全一样。
各种SaaS服务，在一些服务中充满了数据安全的陷阱，比如对上传数据的所有权声明、对用户操作和行为的监控、服务商自身的安全保护等，很容易造成企业员工在使用非企业IT评估过的SaaS服务时泄露企业的核心数据资产。通过CASB技术，能有效的保护企业员工访问低风险级别的SaaS服务。
4、IAM
IAM就是身份与访问的管理。所有对数据能产生威胁的都是人，无论这个人员来自于内部还是外部，所有的动作都是人在操作。
做数据治理的时候需要首先明确人员的身份，谁，使用什么样的设备，可以访问哪些敏感数据，可以访问哪些应用系统中的哪些模块。
5、加解密加解密是针对数据的可用性采用的非常强有力的管理手段。加密是指看不见、打不开、拿不走。数据一旦做了加密之后，如果不具备相应的权限，就无法看见这些内容。
加解密往往应用在对数据的保护级别非常高的场景，因为伴随加解密的同时往往是大量计算资源的投入和业务处理的不便捷性。
6、DCAP
DCAP是指对数据的审计与保护。我们对数据在企业的使用，需要有一个可视化的管理，能发现谁使用了哪些数据，这些数据是怎样流动的，通过DCAP技术能知道谁在去读写或者获取这些敏感数据。
而对于企业来说，《个人信息安全保护法》和《数据安全法》的正式颁布实施将会是把双刃剑，一方面是可提高民众的意识，利于推动数据安全各项工作的落地；另一方面则是利用法律的威慑力，对企业开展数据安全工作进行有效约束。

如何做好数据全生命周期管理，一直是一个头疼的课题。本文将对《数据安全法》中涉及企业数据全生命周期管理的合规要求进行简要分析。

法规背景

“数安法（草案）二次审议稿”一共七章五十一条，其中“总则”、“法律责任”及“附则”三章属于常规章节，另外四个章节则围绕“数据安全与发展、数据安全制度、数据安全保护义务、政务数据安全与开放”四个方面提出工作要求。

数据全生命周期安全合规要求

1、制度建立

建立健全全流程数据安全管理制度，落实数据安全保护责任，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施保障数据安全。

2、风险监测

对数据处理活动中出现的缺陷、漏洞等风险，要釆取补救措施；发生数据安全事件要按规定上报。

3、风险评估

对数据处理活动定期开展风险评估并上报风评报告。

4、收集使用

任何组织、个人收集数据必须釆取合法、正当的方式，不得窃取或者以其他非法方式获取数据。
法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。

5、数据交易

数据服务商或交易机构，要提供并说明数据来源证据，要审核相关人员身份并留存记录。

6、存储加工

委托他人存储、加工或提供政务数据，要先审批，并做好监督。

7、配合调查

要求依法配合公安、安全等部门进行犯罪调查。境外执法机构要调取存储在中国的数据，须先审核。

8、审批与监督

委托他人建设、维护系统，或涉及存储、加工数据，应当经过严格的批准程序，并监督受托方、数据接收方履行相应的数据安全保护义务。
以上八个方向作为数安法对企业落实数据安全生命周期管控的基本要求。

数据全生命周期安全实施建议

数据全生命周期涵盖收集、传输、存储、处理、共享、销毁共六个阶段，针对数据全生命周期的安全管理也是企业开展数据安全管理的核心和难点工作。

1、数据采集
数据采集规范中要明确数据采集的目的、用途、方式、范围、采集源、采集渠道等内容，并对数据来源进行源鉴别和记录。制定明确的采集策略，只采集经过授权的数据并进行日志记录。
对数据采集过程中的风险项进行定义，形成数据采集风险评估规范。数据采集全过程需要符合相关法律法规和监管要求，做到合规合法的采集。
2、数据传输
做好传输接口管控和监测。建议对涉敏数据进行加密传输，主要用到的是对称加密算法和非对称加密算法，推荐的对称加密算法如：DES、IDEA、AES、SM1（国密算法），非对称加密算法如：RSA、ECC、SM2（国密算法）。
3、数据存储
重要数据境内存储，做好存储介质管理，建立数据存储备份机制，并定期开展备份恢复演练。
4、数据处理
严格遵循数据处理最小化、必要原则，明确数据的处理和使用规范，确保员工只能访问职责所需的最少够用的敏感数据。对数据进行操作时，应做好去标识化处理，明确数据脱敏的业务场景和统一使用适合的脱敏技术。
5、数据共享
一是建立数据共享规范，共享前应进行严格的审批并存档，同时开展个人信息安全影响评估。

二是共享前开展风险评估（记录留存3年），与共享的接口调用方签订合作协议。

三是开展共享监测和审计，数据导入导出应进行严格的审批和监控，建立数据交换和共享审核流程和监管平台，以确保数据对于数据共享的所有操作和行为进行日志记录，并对高危行为进行风险识别和管控。

6、数据销毁
应建立数据销毁机制，明确存储介质删除方法，数据销毁需由领导审批，同时采用可靠的技术手段，确保被删除和销毁的用户个人电子信息不能被再次还原。针对不同的存储介质和设备有其不可逆的销毁技术及流程，建立销毁监察机制，严防数据销毁阶段可能出现的数据泄露问题。
数据销毁包含物理层面和逻辑层面的销毁，按照处理成本、复杂性和安全性由低到高的顺序，将数据销毁方式分为三个级别：

一级销毁方式：在软件系统层删除数据；
二级销毁方式：在存储介质层清除数据；
三级销毁方式：物理破坏数据及其存储介质。

在对数据全生命周期监管的同时，为了对数据实现监控和审计，数据分级分类必不可少。在数据分级分类之前，需要通过数据测绘来发现敏感数据，以及数据主要存储的位置。
对数据进行结构化分级分类分级，实现对数据资产安全进行敏感分级管理，并依据各级别部署相对应的数据安全策略，以保障数据资产全生命周期过程中，数据的保密性、完整性、真实性和可用性。
了解更多数据安全的内容，欢迎点击阅读：

<END>